瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 IE被恶意修改[请大家帮帮我]谢谢了.【求助】

12   1  /  2  页   跳转页

IE被恶意修改[请大家帮帮我]谢谢了.【求助】

收藏
CNAL
头像
初生襁褓狮
  • 帖子:5
  • 注册: 2005-07-16
  • 来自:
发表于： 2005-07-16 15:37 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

IE被恶意修改[请大家帮帮我]谢谢了.【求助】

先介绍一下症状，访问网站的同时被访问的网站首页代码变成如下代码

<html>
<meta http-equiv='Pragma' content='no-cache'>
<head>
<title></title>
<script LangUage='JavaScript'>try{var tmp=parent.window.location.href}catch(e){window.location.reload();}</script>
</head>
<frameset framespacing=0 border=0 rows='*,0' frameborder=0 onload="window.lxmainframe.location='http://218.25.255.170/frame.html?url='+window.location;">
  <frame name='lxmainframe' src='about:blank' scrolling='auto'>
  <frame name='lxblankframe' src='about:blank' scrolling='no'>
</frameset>
</body>
</html>

是一个框架网页左侧加入了一个竖立的广告，很显然是IE被恶意修改了，
不管访问什么网站首页都是这样的一个框架，左侧一个广告右侧就是我要
访问的网站，我试过很多IE修复工具，都没有修复的效果，我无奈之下，
重装了系统，这次装了一个2000和一个XP，安装系统方法都是先格式化了
在装；装2000以后我装了我以前在本机备份的软件，连接网络，访问网站
效果一样访问网站的同时和未装系统的时候一样，无奈进入我的XP系统
首先
安装了 XP SP2
安装了 Windows Media Player 10
安装了 WINRAR
安装了 瑞星杀毒软件
安装了 瑞星个人防火墙
在次用XP连接网络，效果一样，要访问的网站还是和原先一样，是一个框架
正常访问是不应该有这个框架的，左侧不应该是一个竖立的广告，
我开始怀疑是我安装系统后安装的软件有问题，
XP SP2      这个没有问题的在微软下载的
Windows Media Player 10  这个也没有问题因为我的2000里装不了 这个但2000里还有IE被修改
WINRAR        这个也没有问题，我在以前我的虚拟机安装过，使用IE没问题。
瑞星杀毒软件    这个软件更不可能有问题了。。。我是正版用户啊。。。
瑞星个人防火墙    这个也不应该有问题的，但安装防火墙的时候有个提示
提示如下:

瑞星提示
文件内容被修改，有可能被感染病毒或者下载过程中产生错误。
是否继续？

我在安装防火墙的时候没有管他，点击是安装成功了 没发现有什么问题。

但就是安装了
XP SP2
Windows Media Player 10
WINRAR
瑞星杀毒软件
瑞星个人防火墙
连接网络 访问网站 出现了 和未重装系统的时候一样

我的2000是在C盘 XP 在 D盘

大家帮帮我，谢谢，该怎么解决，就说这个IE被恶意修改的这个问题
有没有熟悉IE的朋友帮我一下，谢谢大家了，
但我经过重装系统后 IE的问题还存在 有个想法 估计是 后来安装的软件有问题。。

阿龙 QQ：307324693  请大家帮帮我 谢谢了``

HijackThis扫的日志,是进入安全模式下扫的日志.


HijackThis_zww汉化版扫描日志 V1.99.1
保存于      16:28:48, 日期 2005-7-16
操作系统：  Windows XP SP2 (WinNT 5.01.2600)
浏览器：    Internet Explorer v6.00 SP2 (6.00.2900.2180)

当前运行的进程：         
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\Explorer.EXE
D:\Program Files\HijackThis1991\HijackThis1991zww.exe

O3 - IE工具栏增项: 卡卡安全助手 - {DB9ECD4F-FB8F-4311-B3CE-90B976C2707C} - D:\WINDOWS\system32\kakatool.dll
O4 - 启动项HKLM\\Run: [IMJPMIG8.1] "D:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - 启动项HKLM\\Run: [PHIME2002ASync] D:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - 启动项HKLM\\Run: [PHIME2002A] D:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - 启动项HKLM\\Run: [RfwMain] "D:\Program Files\Rising\Rfw\rfwmain.exe" -Startup
O4 - 启动项HKLM\\Run: [RavTimer] D:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
O4 - 启动项HKLM\\Run: [RavMon] D:\PROGRA~1\RISING\RAV\RAVMON.EXE -SYSTEM
O4 - 启动项HKLM\\Run: [TkBellExe] "D:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - 启动项HKLM\\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - 启动项HKLM\\Run: [BigDogPath] D:\WINDOWS\VM_STI.EXE USB PC Camera 301+
O4 - 启动项HKLM\\Run: [IMSCMig] D:\PROGRA~1\COMMON~1\MICROS~1\IME\IMSC40A\IMSCMIG.EXE /Preload
O4 - 启动项HKLM\\RunOnce: [KakaToolbarUpdate] D:\Program Files\Rising\KaKaToolBar\Download\Rsaupd.exe
O4 - HKCU\..\Run: [ctfmon.exe] D:\WINDOWS\system32\ctfmon.exe
O8 - IE右键菜单中的新增项目: &使用迅雷下载 - D:\Program Files\Sandai Technologies Inc\Thunder\geturl.htm
O8 - IE右键菜单中的新增项目: &使用迅雷下载全部链接 - D:\Program Files\Sandai Technologies Inc\Thunder\getAllurl.htm
O8 - IE右键菜单中的新增项目: 导出到 Microsoft Office Excel(&X) - res://D:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - IE右键菜单中的新增项目: 添加到QQ自定义面板 - D:\Program Files\Tencent\qq\AddPanel.htm
O8 - IE右键菜单中的新增项目: 添加到QQ表情 - D:\Program Files\Tencent\qq\AddEmotion.htm
O8 - IE右键菜单中的新增项目: 用QQ彩信发送该图片 - D:\Program Files\Tencent\qq\SendMMS.htm
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1121272642856
O23 - NT 服务: Macromedia Licensing Service - Unknown owner - D:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - NT 服务: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Corporation Limited - d:\program files\rising\rfw\rfwsrv.exe
O23 - NT 服务: Rising Process Communication Center (RsCCenter) - rising - D:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
O23 - NT 服务: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - D:\PROGRAM FILES\RISING\RAV\Ravmond.exe
O23 - NT 服务: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - D:\Program Files\Analog Devices\SoundMAX\SMAgent.exe


是的我是网通用户,请问就算是网通弄的这个广告,
我看了一下这个广告,都是新浪的广告.

以下就是我IE左侧的广告.

附件附件:

下载次数:0
文件类型:image/pjpeg
文件大小:
上传时间:2005-7-16 15:37:05
描述:



最后编辑2005-07-20 00:15:33
分享到：
gototop
 
建能
头像
横据古稀狮
  • 帖子:5755
  • 注册: 2005-04-01
  • 来自:
发表于： 2005-07-16 16:04 | 短消息 资料
字号： 小 中 大 2楼

你下载用hijackthis1.99.1扫个log上来，方便大家分析、解决问题！1。下载HijackThis

HijackThis1.99.1可以到本版（反浏览器劫持版）置顶贴
[必读]本版说明及常用小软件下载
http://forum.ikaka.com/topic.asp?board=67&artid=5188931

中下载
gototop
 
魔法学徒
头像
卡卡技术团队
  • 帖子:11465
  • 注册: 2004-10-03
  • 来自:
发表于： 2005-07-17 00:23 | 短消息 资料
字号： 小 中 大 3楼

您的log显示无异常，请问您是否网通的用户？

很多网通的用户在浏览某些网页时会出现左侧广告栏，这是网通的一种随机性质的广告，您可以尝试刷新网页看是否能去除？

清空IE临时文件(打开IE浏览器——工具——internet选项——删除cookies...、删除文件，把“删除所有脱机内容”选上)。
gototop
 
快乐苹果
头像
初生襁褓狮
  • 帖子:26
  • 注册: 2005-06-14
  • 来自:
发表于： 2005-07-17 01:10 | 短消息 资料
字号： 小 中 大 4楼

我也有同样问题!!!!把浏览器下方的状态栏的图给大家看看

附件附件:

下载次数:0
文件类型:image/pjpeg
文件大小:
上传时间:2005-7-17 1:10:27
描述:
gototop
 
快乐苹果
头像
初生襁褓狮
  • 帖子:26
  • 注册: 2005-06-14
  • 来自:
发表于： 2005-07-17 01:13 | 短消息 资料
字号： 小 中 大 5楼

这是我的log对比一下：

Logfile of HijackThis v1.99.1
Scan saved at 1:11:06, on 2005-7-17
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\svchost.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\spool\DRIVERS\W32X86\3\E_S4I3W1.EXE
C:\WINNT\system32\rundll32.exe
C:\WINNT\system32\ctfmon.exe
C:\WINNT\explorer.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
E:\download\hijackthis1991\HijackThis.exe

R3 - URLSearchHook: 上网助手 - {BB936323-19FA-4521-BA29-ECA6A121BC78} - C:\PROGRA~1\3721\assist\asbar.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll (file missing)
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FlashGet\jccatch.dll
O2 - BHO: AssistII - {BB936323-19FA-4521-BA29-ECA6A121BC78} - C:\PROGRA~1\3721\assist\asbar.dll
O2 - BHO: IE - {D157330A-9EF3-49F8-9A67-4141AC41ADD4} - C:\WINNT\DOWNLO~1\CONFLICT.1\CnsHook.dll
O3 - Toolbar: 上网助手 - {BB936323-19FA-4521-BA29-ECA6A121BC78} - C:\PROGRA~1\3721\assist\asbar.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [EPSON ME 1] C:\WINNT\system32\spool\DRIVERS\W32X86\3\E_S4I3W1.EXE /P10 "EPSON ME 1" /O6 "USB001" /M "ME 1"
O4 - HKLM\..\Run: [CnsMin] Rundll32.exe C:\WINNT\DOWNLO~1\CONFLICT.1\CnsMin.dll,Rundll32
O4 - HKLM\..\Run: [helper.dll] C:\WINNT\system32\rundll32.exe C:\PROGRA~1\3721\helper.dll,Rundll32
O4 - HKLM\..\Run: [KAVPersonal50] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kav.exe" /minimize
O4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: !搜一搜 - res://C:\WINNT\DOWNLO~1\CONFLICT.1\CnsMinEx.dll/1003
O8 - Extra context menu item: &Download by NetAnts - C:\PROGRA~1\NetAnts\NAGet.htm
O8 - Extra context menu item: Download &All by NetAnts - C:\PROGRA~1\NetAnts\NAGetAll.htm
O8 - Extra context menu item: 使用网际快车下载 - C:\Program Files\FlashGet\jc_link.htm
O8 - Extra context menu item: 使用网际快车下载全部链接 - C:\Program Files\FlashGet\jc_all.htm
O8 - Extra context menu item: 导出到 Microsoft Office Excel(&X) - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: 导出当前页到超星阅览器(&A) - C:\Program Files\SSREADER36\ss_all.htm
O8 - Extra context menu item: 导出选中部分到超星阅览器(&S) - C:\Program Files\SSREADER36\ss_select.htm
O9 - Extra button: 手机短信 - {00000000-0000-0001-0001-596BAEDD1289} - http://sms.3721.com/ie/index.htm (file missing)
O9 - Extra button: Yahoo 1G电邮 - {507F9113-CD77-4866-BA92-0E86DA3D0B97} - http://cn.mail.yahoo.com/promo/rd1 (file missing)
O9 - Extra button: NetAnts - {57E91B47-F40A-11D1-B792-444553540000} - C:\PROGRA~1\NetAnts\NetAnts.exe (file missing)
O9 - Extra 'Tools' menuitem: &NetAnts - {57E91B47-F40A-11D1-B792-444553540000} - C:\PROGRA~1\NetAnts\NetAnts.exe (file missing)
O9 - Extra button: 寻宝乐趣多 - {59BC54A2-56B3-44a0-93E5-432D58746E26} - http://hot.3721.com/rd/shop_btn.htm (file missing)
O9 - Extra button: 上网助手 - {5D73EE86-05F1-49ed-B850-E423120EC338} - http://assistant.3721.com/index.htm?fb=Cns (file missing)
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra button: 情景聊天 - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - http://cn.rd.yahoo.com/home/messenger/bjk/clientbtn/?http://cn.messenger.yahoo.com/ (file missing)
O9 - Extra button: (no name) - {ECF2E268-F28C-48d2-9AB7-8F69C11CCB71} - http://assistant.3721.com/security1.htm?fb=Cns (file missing)
O9 - Extra 'Tools' menuitem: 修复浏览器 - {ECF2E268-F28C-48d2-9AB7-8F69C11CCB71} - http://assistant.3721.com/security1.htm?fb=Cns (file missing)
O9 - Extra button: (no name) - {FD00D911-7529-4084-9946-A29F1BDF4FE5} - http://assistant.3721.com/clean1.htm?fb=Cns (file missing)
O9 - Extra 'Tools' menuitem: 清理上网记录 - {FD00D911-7529-4084-9946-A29F1BDF4FE5} - http://assistant.3721.com/clean1.htm?fb=Cns (file missing)
O11 - Options group: [!CNS]  网络实名
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/kavwebscan_unicode.cab
O16 - DPF: {9BBD100C-E820-4930-9937-E8F3AA40E584} (DFVSScanFile Control) - http://antivirus3.sunv.com/dfvsolDown/dfvsol.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{033013A7-4002-47B9-989C-5EA887F36049}: NameServer = 202.99.96.68 202.99.64.69
O17 - HKLM\System\CS1\Services\Tcpip\..\{033013A7-4002-47B9-989C-5EA887F36049}: NameServer = 202.99.96.68 202.99.64.69
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files\Common Files\Microsoft Shared\Help\hxds.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Logical Disk Manager Administrative Service (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kavsvc.exe
gototop
 
飞跃迷离
头像
社区嘉宾
  • 帖子:7351
  • 注册: 2004-10-15
  • 来自:
发表于： 2005-07-17 08:22 | 短消息 资料
字号： 小 中 大 6楼

【回复“快乐苹果”的帖子】
请修复：
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O16 - DPF: {9BBD100C-E820-4930-9937-E8F3AA40E584} (DFVSScanFile Control) - http://antivirus3.sunv.com/dfvsolDown/dfvsol.cab
gototop
 
CNAL
头像
初生襁褓狮
  • 帖子:5
  • 注册: 2005-07-16
  • 来自:
发表于： 2005-07-17 12:41 | 只看楼主 短消息 资料
字号： 小 中 大 7楼

引用:
【魔法学徒的贴子】您的log显示无异常，请问您是否网通的用户？

很多网通的用户在浏览某些网页时会出现左侧广告栏，这是网通的一种随机性质的广告，您可以尝试刷新网页看是否能去除？

清空IE临时文件(打开IE浏览器——工具——internet选项——删除cookies...、删除文件，把“删除所有脱机内容”选上)。

...........................

试过了 无效果 在访问某些网站的时候 广告还有.
gototop
 
快乐苹果
头像
初生襁褓狮
  • 帖子:26
  • 注册: 2005-06-14
  • 来自:
发表于： 2005-07-17 12:56 | 短消息 资料
字号： 小 中 大 8楼

我试了一下，在安全模式下（按F8),将c:\winnt\system32\Catroot文件夹重命名成Catroottemp,然后重新启动试试。
注意在正常模式下该文件夹不能改名。
gototop
 
快乐苹果
头像
初生襁褓狮
  • 帖子:26
  • 注册: 2005-06-14
  • 来自:
发表于： 2005-07-17 13:06 | 短消息 资料
字号： 小 中 大 9楼

哦，如果你的操作系统是xp，文件夹可能是C:\windows\system32\catroot2。试试吧！
gototop
 
CNAL
头像
初生襁褓狮
  • 帖子:5
  • 注册: 2005-07-16
  • 来自:
发表于： 2005-07-17 13:57 | 只看楼主 短消息 资料
字号： 小 中 大 10楼

我装的是双系统 一个2K 一个XP
都是打了最新补丁的
你说的这个文件夹修改名称有什么作用?
c:\winnt\system32\Catroot
C:\windows\system32\catroot2
gototop
 
<<上一主题|下一主题>>
12   1  /  2  页   跳转页
页面顶部
Powered by Discuz!NT